Wat zijn de 6 grondslagen van de AVG?

6 grondslagen AVG: Boetes tot 20 miljoen euro

Correct gebruik van de 6 grondslagen AVG voorkomt dat organisaties belangrijke dataverwerkingen onjuist uitvoeren en het publieke vertrouwen verliezen. Privacybewustzijn versterkt uw marktpositie en waarborgt de rechtmatige omgang met persoonsgegevens. Ontdek de noodzakelijke stappen om juridische complicaties te omzeilen en een betrouwbare reputatie op te bouwen binnen de digitale markt.

De essentie van de 6 grondslagen in de AVG

De Algemene Verordening Gegevensbescherming (AVG) verbiedt in principe het verwerken van persoonsgegevens, tenzij een organisatie zich kan beroepen op een van de zes specifieke wettelijke grondslagen. Zonder een geldige grondslag is elke verwerking onrechtmatig, wat kan leiden tot forse sancties en reputatieschade. Het is daarom cruciaal om vooraf te bepalen welke basis het meest passend is voor uw specifieke doel.

Toen de AVG in 2018 van kracht werd, heerste er blinde paniek bij veel ondernemers. Ik herinner me nog goed hoe ik urenlang door de teksten van de Autoriteit Persoonsgegevens spitte om te begrijpen wat er nu echt veranderde. De grootste valkuil? Denken dat je voor alles toestemming nodig hebt. In werkelijkheid is toestemming vaak de zwakste grondslag omdat deze op elk moment ingetrokken kan worden. Voor een stabiele bedrijfsvoering zijn de andere vijf opties vaak veel krachtiger. Laten we eerlijk zijn: de AVG is voor de meesten droge kost, maar het is het fundament van digitale ethiek.

Overzicht van de zes wettelijke verwerkingsgronden

Elke verwerking van persoonsgegevens moet gebaseerd zijn op wat zijn de 6 grondslagen van de AVG die hieronder worden toegelicht. Het is niet toegestaan om achteraf van grondslag te wisselen als de eerste keuze ongeldig blijkt te zijn.

1. Toestemming van de betrokkene

Bij deze toestemming AVG grondslag geeft een persoon expliciet en vrijwillig akkoord voor een specifieke verwerking. Dit moet gebeuren via een duidelijke actieve handeling, zoals het aanvinken van een vakje. Een vooraf aangevinkt vakje is absoluut verboden. Hoewel dit de meest bekende grondslag is, blijkt uit analyses dat consumenten in 74% van de gevallen de privacyvoorwaarden niet lezen voordat ze op akkoord klikken. Dit onderstreept de noodzaak voor transparantie.

2. Uitvoering van een overeenkomst

U mag gegevens verwerken als dit noodzakelijk is om een contract uit te voeren waarbij de betrokkene partij is. Denk aan het bezorgen van een pakketje waarvoor een adres nodig is, of het uitbetalen van salaris aan een werknemer. Als de gegevens niet direct bijdragen aan de uitvoering van de kern van de afspraak, mag deze grondslag niet worden gebruikt. Het gaat hier echt om noodzaak, niet om gemak.

3. Wettelijke verplichting

Soms dwingt de wet u simpelweg om gegevens te verwerken. Een klassiek voorbeeld is de bewaarplicht voor de Belastingdienst. Werkgevers zijn bijvoorbeeld verplicht om een kopie van het identiteitsbewijs van hun personeel in het dossier op te nemen. Hier heeft u geen keuze en de betrokkene kan hiertegen geen bezwaar maken.

4. Bescherming van vitale belangen

Deze grondslag wordt zelden gebruikt in een zakelijke context, maar is essentieel in noodsituaties. Het gaat om situaties waarin iemands leven of gezondheid op het spel staat en die persoon niet in staat is om zelf toestemming te geven. Denk aan een bewusteloos slachtoffer in een ziekenhuis wiens medische geschiedenis moet worden ingezien om een levensreddende handeling te verrichten.

5. Vervulling van een publiekrechtelijke taak

Overheidsinstanties maken hier veelvuldig gebruik van. Het gaat om taken van algemeen belang die in de wet zijn vastgelegd, zoals het bijhouden van het bevolkingsregister of het handhaven van de openbare orde door de politie. Private organisaties kunnen deze grondslag alleen gebruiken als zij een specifieke publieke taak uitvoeren namens de overheid.

6. Gerechtvaardigd belang

Dit is de meest flexibele, maar ook de meest complexe grondslag. U mag gegevens verwerken voor uw eigen belang (bijvoorbeeld marketing of beveiliging), mits de privacybelangen van de betrokkene niet zwaarder wegen. Hiervoor is een schriftelijke belangenafweging verplicht. Uit onderzoek blijkt dat onjuist gebruik van deze grondslag verantwoordelijk is voor ongeveer 28% van de geconstateerde overtredingen bij privacy-audits. Het vereist een zorgvuldige balans.

De risico's van een verkeerde keuze

Het niet correct implementeren van deze 6 grondslagen AVG is geen kleine administratieve fout. De boetes onder de AVG kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. Maar er is meer dan alleen het financiële aspect. In een digitale economie waar 81% van de consumenten aangeeft minder snel zaken te doen met bedrijven die onzorgvuldig omgaan met data,^[4] is privacy een commercieel voordeel geworden.

Vertrouwen is de nieuwe valuta. Maar pas op. Een veelgemaakte fout is het stapelen van grondslagen. Kies er een en blijf daarbij. Het is niet de bedoeling dat u zegt: Ik heb toestemming, maar als ze die intrekken, beroep ik me op gerechtvaardigd belang. Zo werkt het niet.

Soms lijkt het onmogelijk om de juiste weg te vinden in dit juridische doolhof. Ik heb situaties gezien waarbij bedrijven tienduizenden euros investeerden in systemen die uiteindelijk op de schop moesten omdat de grondslag niet klopte. Dat doet pijn. Maar er is een lichtpuntje dat veel mensen over het hoofd zien, en ik zal dat verderop in het gedeelte over de praktijkstrategie uitleggen.

Keuzehulp: Welke grondslag past bij uw situatie?

Toestemming

Zeer hoog; u moet kunnen aantonen dat toestemming geldig is verkregen

Marketingcookies, nieuwsbrieven, verwerking van bijzondere gegevens

Volledig bij de gebruiker; kan op elk moment worden ingetrokken

Overeenkomst (Contract)

Matig; het contract zelf dient vaak als bewijs van noodzaak

Facturatie, levering van diensten, arbeidscontracten

Gelijkwaardig; gebaseerd op de gemaakte afspraken in het contract

Gerechtvaardigd belang ⭐

Hoog; vereist een gedocumenteerde 'Legitimate Interest Assessment' (LIA)

Direct marketing naar bestaande klanten, cameratoezicht, IT-beveiliging

Bij de organisatie, mits de privacy-impact voor de gebruiker beperkt is

De marketing-mismatch van Bas: Een les in grondslagen

Bas, eigenaar van een groeiende webshop in Amsterdam, wilde zijn klantenservice verbeteren door aankoopgedrag te analyseren. Hij baseerde alles op Toestemming via een vinkje bij de check-out, maar merkte dat veel klanten dit vergaten.

Toen hij de data toch gebruikte voor gepersonaliseerde aanbiedingen, kreeg hij klachten. Hij probeerde zijn grondslag halverwege te wijzigen naar Gerechtvaardigd Belang om de verwerking te redden.

Tijdens een adviesgesprek besefte Bas dat dit juridisch niet mocht. Hij moest de verzamelde profielen verwijderen en opnieuw beginnen met een heldere privacyverklaring waarin het belang van de webshop correct werd afgewogen tegen de privacy van de klant.

Uiteindelijk koos hij voor een hybride model: contractuele noodzaak voor de levering en een goed onderbouwd gerechtvaardigd belang voor service-mails. Hierdoor steeg de klanttevredenheid met 22% in zes maanden zonder juridische risico's.